Signals · Threat intelligence

U bent niet het doelwit. U bent de weg naar binnen.

Een klein bedrijf kan zich niet verdedigen tegen een staat. Dat hoeft meestal ook niet. Wat statelijke aanvallers van een mkb-bedrijf willen, is vaak een weg naar binnen bij een ander, en die kunt u afsluiten.

Door Gouresh Kamble, Amon Dîn · · 5 min lezen

Een zware stenen poort die openstaat met warm amberkleurig licht, in een vestingmuur boven mistige bergen, met een citadel en watervallen in de verte onder een blauwgrijze hemel

Bij "statelijke hackers" denken mensen vaak een van twee dingen: "dat gaat niet over ons" of "daar kunnen we toch niets tegen doen". Beide zijn begrijpelijk. Beide gaan voorbij aan hoe deze operaties meestal werken.

De activiteit is echt en neemt toe. Op 15 oktober zei Paul Chichester, directeur operaties van het Britse National Cyber Security Centre, tegen New Scientist dat Rusland, China, Noord-Korea en Iran allemaal AI gebruiken om hun aanvallen op te voeren, en dat het "meedogenlozer voelt dan tien jaar geleden". Hij noemde cyberoperaties "een absoluut cruciaal onderdeel van heimelijke staatsmacht".

Waarom een klein bedrijf nuttig is voor een staat

Laten we eerlijk zijn: als een goed uitgeruste inlichtingendienst besluit dat juist uw bedrijf het doelwit is, dan houdt een bedrijf van tien mensen dat niet tegen. De meeste grote bedrijven trouwens ook niet. Maar daar staan mkb-bedrijven zelden voor. Veel vaker bent u niet het doelwit. U bent de weg naar binnen.

Kijk naar wat de officiële waarschuwingen van de afgelopen weken beschrijven:

Edge devices. Op 7 oktober waarschuwden de AIVD en MIVD dat Chinese aanvallen via firewalls, VPN-gateways en portalen de komende jaren sterk zullen toenemen, dat Nederlandse organisaties al op deze manier zijn binnengedrongen, en dat AI aanvallers helpt kwetsbaarheden sneller te vinden en te misbruiken.

Geleende infrastructuur. Op 8 oktober ontmaskerden het Britse NCSC en partners uit zes andere landen het Chinese bedrijf Integrity Technology Group, dat aanvallers ondersteunt die AI-gestuurd scannen, grote botnets van gehackte apparaten en handmatig hacken combineren om wereldwijd data te stelen. Die botnets bestaan uit gewone apparatuur: routers, camera's en opslagapparaten van mensen en bedrijven die niet wisten dat ze er deel van uitmaakten.

Camera's. In juli meldden de AIVD en MIVD dat een Russische dienst stelselmatig IP-camera's in Nederland en andere EU- en NAVO-landen binnendringt om militaire transportroutes te volgen. Niet omdat de eigenaren ertoe deden, maar vanwege wat hun camera's konden zien.

Leveranciers. Levert u IT, software, logistiek of zakelijke diensten aan grotere organisaties, dan is uw toegang tot hen de buit. Precies daarom kijken toezichthouders nu door de keten heen.

U kunt niet voorkomen dat een staat u kiest. U kunt wel voorkomen dat u de makkelijkste route naar een ander bent.

Regelgeving schuift door de keten

Wetgevers aan beide kanten van de Noordzee trekken dezelfde conclusie. In Nederland geldt de Cyberbeveiligingswet (NIS2) sinds 15 augustus voor zo'n 8.000 organisaties, en die moeten ook de risico's in hun toeleveringsketen beheersen. Is een van hen uw klant, reken dan op meer beveiligingsvragen in contracten en leveranciersvragenlijsten.

In de hele EU gelden sinds 11 september de meldplichten van de Cyber Resilience Act. Fabrikanten van producten met digitale elementen, van firewalls tot camera's, moeten actief misbruikte kwetsbaarheden en ernstige incidenten nu binnen 24 uur melden. Voor kopers betekent dat snellere en duidelijkere beveiligingsberichten van leveranciers, maar die helpen alleen als iemand ze leest en ernaar handelt.

In het Verenigd Koninkrijk is de Cyber Security and Resilience Bill op 26 oktober terug in het Hogerhuis voor de Report-fase. Volgens Hill Dickinson brengt de wet managed service providers en datacenters onder toezicht en krijgt de overheid de bevoegdheid om "kritieke leveranciers" aan te wijzen. Royal Assent wordt verwacht tussen eind 2026 en voorjaar 2027, dus op 26 oktober verandert er nog niets, maar de richting is duidelijk.

Zes praktische stappen

  • Weet wat aan internet hangt. Maak een lijst van elke firewall, VPN, remote-toegangsportaal, camera en opslagapparaat dat van buitenaf bereikbaar is, en wie waarvoor verantwoordelijk is.
  • Update of vervang edge devices. Installeer beveiligingsupdates voor firewalls en VPN's snel en vervang apparaten die de leverancier niet meer ondersteunt. Abonneer u op de beveiligingsberichten van uw leveranciers.
  • Haal camera's en opslag van het open internet. Volg het advies van de AIVD: geen directe toegang vanaf internet, actuele firmware, gewijzigde standaardwachtwoorden en beperkte gebruikers.
  • Zet overal meerstapsverificatie aan, te beginnen bij remote toegang, e-mail en beheerdersaccounts, en sluit diensten en poorten die u niet gebruikt, zoals het NCSC-advies aanbeveelt.
  • Stel uw IT-leverancier drie vragen: hoe beveiligt u uw toegang tot onze systemen, hoe snel patcht u onze edge devices, en hoe zou u ons informeren over een incident?
  • Weet wie u belt. Spreek nu een contactpersoon en een kort plan voor incidenten af, inclusief hoe u klanten waarschuwt van wie de toegang via u loopt.

Geen van deze stappen vraagt om een securityteam. Samen nemen ze het meeste weg van wat een klein bedrijf tot een handige opstap maakt.

Bronnen

← Alle Signals